Cuentas & equipos

Un espacio de trabajo pertenece a una organización. Las personas entran como miembros con un rol, comparten workflows y recursos, y el propietario controla la facturación, el BYO-AI y los ajustes de gobernanza de datos. Esta página cubre la cuenta en sí, los roles, SSO y SCIM, y cómo se enrutan las notificaciones.

cuenta ▸ perfil

Registro & perfil

Regístrate con correo y contraseña, y verifica tu correo — las acciones privilegiadas quedan bloqueadas hasta que lo hagas. Tu perfil guarda tu nombre visible, avatar, idioma y preferencias de notificación.

Exportación & borrado

GET /account/export devuelve una exportación legible por máquina de los datos de tu cuenta. Borrar la cuenta requiere tu contraseña actual, y lo que pasa después depende de tu rol: un propietario único borra la organización con ella (se exige una confirmación tecleada), mientras que el propietario de una organización con varios miembros debe primero transferir la propiedad a otro miembro — o borrar explícitamente la organización entera.

Consulta Privacidad y el Data Processing Addendum para el tratamiento de los datos, y los subencargados para saber quién los procesa.

roles ▸ uno por miembro

Miembros & roles

Invita a tu equipo por correo. Cada miembro tiene exactamente un rol:

Rol	Puede hacer
Owner	Todo, incluida la facturación, los cambios de plan, el BYO-AI y el borrado de la organización. Un solo owner por organización; la propiedad es transferible, y el owner anterior pasa a ser member.
Admin	Gestionar miembros, workflows, recursos, monitores y endpoints. Sin acciones destructivas de facturación.
Member	Crear y ejecutar workflows, monitores y automatizaciones dentro de los scopes concedidos.

Las invitaciones y los cambios de rol pueden asignar admin o member; la propiedad solo se mueve mediante una transferencia explícita.

sso ▸ enrutado por dominio

SSO & verificación de dominio

El inicio de sesión único se ata a un dominio cuyo control demuestras: crea un registro DNS TXT en _writ-sso-verify.{domain} con el valor que te da la pantalla de configuración. Una vez verificado, los inicios de sesión de ese dominio se enrutan a tu proveedor de identidad. Dos propiedades conviene conocerlas:

sso_enforced (opcional): los inicios de sesión sin SSO para ese dominio se rechazan — la contraseña deja de ser una puerta alternativa.
El descubrimiento de SSO solo revela el enrutado. Preguntar «¿cómo inicia sesión este correo?» nunca delata si una cuenta existe.

scim ▸ la plantilla, sincronizada

Aprovisionamiento SCIM

Las organizaciones pueden aprovisionar miembros por SCIM 2.0 desde un proveedor de identidad. Desaprovisionar a una persona elimina su membresía, suspende la cuenta si se queda sin ninguna membresía, y revoca de inmediato cualquier sesión y token activos — darla de baja en el IdP es darla de baja en Writ, sin nada que siga conectado.

oauth ▸ con tope

Los accesos OAuth tienen tope

Un acceso concedido por un flujo OAuth queda limitado al rol operator — por amplios que sean los scopes pedidos, un acceso OAuth nunca lleva admin. El control administrativo queda en manos de quienes iniciaron sesión como ellos mismos.

notificaciones ▸ categorías × canales

Preferencias de notificación

Las notificaciones de la plataforma forman una cuadrícula: siete categorías — security, billing, team, runs, agents, marketplace, support — sobre seis canales: in_app, email, sms, whatsapp, signal, pushover. Eliges celda a celda, con una excepción deliberada: unas pocas celdas están bloqueadas siempre activas — las alertas de seguridad, los problemas de pago y las invitaciones de equipo no se pueden silenciar.

org ▸ byo-ai

Organización & BYO-AI

Los ajustes de organización cubren el nombre del espacio, el enrutado de agent por defecto y el modo de proveedor de IA. Con el bring-your-own AI, las llamadas de IA se sirven a través de un agent que guarda las claves de proveedor de la organización — las claves se quedan en esa máquina, y no se factura IA gestionada por esas llamadas.

`byo_ai_mode`	Comportamiento
`off`	La IA pasa por la pasarela gestionada de Writ; se factura por token.
`prefer`	Usar las claves de la organización cuando un agent que las guarda está en línea; si no, repliegue a la pasarela gestionada.
`strict`	Solo claves propias: la llamada de IA falla antes que replegarse, y tus prompts nunca tocan las claves de la plataforma.

Writ se ejecuta en tus propias cuentas, con tus propias credenciales y datos, en los sitios que estás autorizado a usar. El BYO-AI extiende eso a la capa de modelos: tus claves de proveedor, tus tokens. Un límite se mantiene sea cual sea el modo: la reparación de selectores por IA es una capacidad gestionada y nunca usa claves BYO — mira Dónde se ejecuta.

Qué sigue

Personas, secretos y agents: lo que tu equipo comparte.
Facturación & uso: el modelo de fondo único, y quién paga.
Autenticación: claves API, scopes, rotación.